Ratgeber Website-Sicherheit
Gefahr durch Cross Site Scripting XSS
Hinter dem Begriff XSS verbirgt sich das Cross Site Scripting. Da die Abkürzung CSS
schon belegt war, wurde aus dem Cross kurzerhand das X. Eine durchaus passende
Analogie, da beispielsweise in Amerika ein X auch als Symbol für Kreuzungen (Crossings)
verwendet wird.
schon belegt war, wurde aus dem Cross kurzerhand das X. Eine durchaus passende
Analogie, da beispielsweise in Amerika ein X auch als Symbol für Kreuzungen (Crossings)
verwendet wird.
Cross Site Scripting bedeutet, dass der böswillige Nutzer HTML- und JavaScript-Code einfügen kann, der das Layout stört oder gar Daten ausspioniert. Im Folgenden sehen Sie ein anfälliges Skript. Die Lücke besteht darin, dass der Suchbegriff nach der Suche ungefiltert im Skript ausgegeben wird:
<?php
//Die Suche
?>
transitional.dtd">
<head>
<title>XSS-Demonstration</title>
<body>
<?php
if (isset($_POST['suche'])) {
echo '<p>Sie haben nach ' . $_POST['suche'] . ' gesucht!</p>';
}
?>
<?php
//Die Suche
?>
transitional.dtd">
<head>
<title>XSS-Demonstration</title>
<body>
<?php
if (isset($_POST['suche'])) {
echo '<p>Sie haben nach ' . $_POST['suche'] . ' gesucht!</p>';
}
?>